WPC Smart Wishlist for WooCommerce <= 4.7.1 - Cross-Site Request Forgery via wishlist_add and wishlist_remove

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin WPC Smart Wishlist para WooCommerce, afectando a las versiones hasta la 4.7.1. Esta vulnerabilidad permite la manipulación no autorizada de listas de deseos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se produce en los endpoints 'wishlist_add' y 'wishlist_remove', donde un atacante puede enviar solicitudes maliciosas que son aceptadas sin la debida validación. Esto permite realizar acciones en nombre de un usuario autenticado sin su consentimiento.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante modificar listas de deseos de los usuarios, lo que podría llevar a la pérdida de datos o a la manipulación de la experiencia del usuario. Además, puede afectar la confianza de los clientes en la plataforma.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces maliciosos a los usuarios, incitándolos a hacer clic sin saber que están realizando acciones no autorizadas en su cuenta.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin WPC Smart Wishlist a la versión 4.7.2 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de nonce en las solicitudes y la revisión de permisos de usuario.

Señales de detección

Señales de riesgo incluyen solicitudes inusuales a los endpoints 'wishlist_add' y 'wishlist_remove', así como cambios inesperados en las listas de deseos de los usuarios. Monitorear los logs de acceso puede ayudar a identificar actividades sospechosas.

Alcance afectado

Las versiones del plugin WPC Smart Wishlist para WooCommerce hasta la 4.7.1 están afectadas. Es importante que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.